LangChain JS 适配包更新：MCP与OpenAI提高Zod下限，连接器同步依赖

LangChain JS的MCP、IBM、OpenAI及Tavily适配包要求安装Zod 4.6.6及以上，OpenRouter、Together AI、xAI和Neo4j同步相关依赖。本文区分直接安全约束与传递依赖更新，给出锁文件和schema兼容性核对方法。

公告时间：2026年11月12日 06:02:40（北京时间）。

来源：官方公告或发布说明。

哪些适配包直接提高Zod下限

本轮逐条核验@langchain/mcp-adapters 2.0.3、@langchain/ibm 0.2.1、@langchain/openai 1.8.4、@langchain/tavily 1.2.1。四条发布说明明确要求已安装依赖使用Zod 4.6.6及以上，以排除GHSA-mrhx-c7xc-m3w5影响的版本。这是已知依赖约束在具体包上的覆盖，不应重复描述成另一个新发现漏洞。

哪些连接器更新的是传递依赖

@langchain/openrouter 0.4.25、@langchain/together-ai 0.2.25和@langchain/xai 1.5.6的说明是同步@langchain/openai 1.8.4；@langchain/neo4j 0.1.33则同步@langchain/classic 1.0.61。不能把八个包都说成各自直接修改Zod，更不能由依赖更新推断底层模型、数据库或云服务发生同样变化。

依据：官方原文；OpenAI适配包；统一依赖变更PR

Zod v3 schema需要全部重写吗

直接约束说明同时保留通过捆绑zod/v3入口使用v3 schema的支持。因此，“安装依赖至少4.6.6”和“所有schema都必须改成v4语法”并不是同一件事。已有schema应按实际导入入口检查解析结果、错误格式和工具参数验证，不能仅凭版本号做无差别重写。

为什么修改package.json还不够

锁文件、workspace与传递依赖可能让部署仍保留其他版本。应在升级后查看实际依赖树，确认受影响路径的解析结果，并在干净安装或构建环境复核。若同一项目存在多个Zod版本，需分清由哪个包引入和使用；不能只看到一个新版本就断言所有调用路径都已完成修复。

按连接器执行小范围回归

MCP项目可检查工具schema转换与参数验证，OpenAI及其依赖连接器可检查结构化输出和原有工具调用，Neo4j项目则核对实际使用的集成路径。使用既有测试数据，避免为了验证版本调整额外提交生产数据或产生不必要模型费用。本文没有重现实验或补充漏洞利用结论。

公告时间与去重范围

这些包在北京时间11月12日06:02:40至06:03:16依次发布，均为补丁版本。此前LangChain JS 1.6.5主体包已经提醒，本篇只覆盖尚未交付的适配包与传递依赖范围，并明确各包版本，不将同一安全约束多次包装成不同安全事件。

依据：官方原文；OpenAI适配包；统一依赖变更PR

各适配包的官方记录

• @langchain/mcp-adapters@2.0.3
• @langchain/ibm@0.2.1
• @langchain/openai@1.8.4
• @langchain/tavily@1.2.1
• @langchain/openrouter@0.4.25
• @langchain/together-ai@0.2.25
• @langchain/xai@1.5.6
• @langchain/neo4j@0.1.33

常见问题

所有包都直接依赖同样Zod版本吗？

不能这样概括，四个适配包明确提高下限，其余条目描述的是对应上游包依赖更新。

这条更新等于OpenAI API改版吗？

不是，它属于LangChain JS集成包的依赖和兼容性变化。